CVE-2023-3823

PHP'nin 8.0.30 öncesindeki 8.0.*, 8.1.22 öncesindeki 8.1.* ve 8.2.8 öncesindeki 8.2.* sürümlerinde çeşitli XML fonksiyonları, harici varlıkların yüklenip yüklenmediği gibi yapılandırma değişkenlerini takip etmek için libxml küresel durumuna dayanmaktadır. Bu durumun, kullanıcı uygun fonksiyonu çağırarak açıkça değiştirmediği sürece değişmeyeceği varsayılır. Ancak, bu durum işlem genelinde (process-global) olduğu için ImageMagick gibi diğer modüller de aynı işlem içinde bu kütüphaneyi kullanabilir, kendi dahili amaçları doğrultusunda bu küresel durumu değiştirebilir ve harici varlık yüklemesinin etkin olduğu bir durumda bırakabilir. Bu durum, harici XML'in harici varlıklar yüklü olarak ayrıştırılmasına yol açabilir ve bu da PHP tarafından erişilebilen tüm yerel dosyaların ifşa edilmesine neden olabilir. Bu savunmasız durum, işlem kapatılana kadar aynı işlemde birçok istek boyunca devam edebilir.